GDPR & Privacy.

Sì. Il GDPR non ha una soglia minima di dipendenti: si applica a chiunque tratti dati personali, quindi anche a uno studio con due persone o un negozio con un solo commesso. Cambiano gli adempimenti, non l'obbligo di base: informative, basi giuridiche dei trattamenti e misure di sicurezza servono comunque. Il registro dei trattamenti (art. 30) ha una deroga per chi ha meno di 250 dipendenti, ma è scritta in modo così stretto — non si applica se il trattamento non è occasionale, riguarda categorie particolari di dati o presenta un rischio per gli interessati — che nella pratica quasi tutte le aziende finiscono comunque per doverlo tenere. È in discussione a livello europeo una proposta (pacchetto "Omnibus") che alzerebbe la soglia a 750 dipendenti, ma non è ancora legge: oggi vale la regola attuale.

Dipende dall'attività, non dalla dimensione dell'azienda. La nomina è obbligatoria per la pubblica amministrazione, per chi fa monitoraggio sistematico e su larga scala degli interessati (es. profilazione, videosorveglianza estesa, tracciamento comportamentale) o per chi tratta su larga scala categorie particolari di dati (sanitari, biometrici, giudiziari). Fuori da questi casi non è obbligatorio, ma attenzione: anche se non nomini un DPO devi comunque documentare per iscritto la valutazione che ti ha portato a quella conclusione, e aggiornarla se cambiano le attività. Non farlo, quando l'obbligo in realtà c'era, espone a sanzione tanto quanto non aver nominato il DPO.

Le sanzioni GDPR arrivano fino a 20 milioni di euro o al 4% del fatturato globale annuo dell'esercizio precedente, se superiore — l'importo esatto dipende dalla gravità della violazione, dal numero di interessati coinvolti, dalla durata e dal comportamento tenuto (collaborazione, misure correttive già adottate). Non è un tetto che si applica automaticamente: per una PMI la sanzione tipica è commisurata al caso specifico, ma il Garante ha mostrato negli ultimi anni particolare attenzione su videosorveglianza dei dipendenti, cookie installati senza consenso valido e uso di sistemi di intelligenza artificiale sul lavoro. Oltre alla sanzione economica ci sono responsabilità che possono toccare direttamente il titolare del trattamento.

Entrambe le cose insieme, ed è proprio qui che molte aziende sbagliano. L'installazione di sistemi di videosorveglianza che possono anche solo indirettamente inquadrare i lavoratori richiede l'accordo sindacale o, in mancanza, l'autorizzazione dell'Ispettorato del Lavoro (art. 4 dello Statuto dei Lavoratori) prima ancora di verificare la parte GDPR. Sul fronte privacy servono poi due livelli di informativa: un cartello ben visibile prima di entrare nell'area ripresa, e un'informativa estesa (art. 13 GDPR) raggiungibile per approfondire. Il Garante sanziona con particolare severità i casi in cui le immagini vengono poi usate per procedimenti disciplinari senza che questa finalità fosse stata dichiarata: è un'aggravante ricorrente nei provvedimenti più recenti.

Se il sito installa anche un solo cookie di terze parti, di analytics non anonimizzato o di profilazione prima che l'utente abbia scelto, sì. Le linee guida del Garante impongono un banner che dia scelte reali — accettare, rifiutare o personalizzare con pari evidenza — senza dark pattern (il semplice scroll della pagina non vale come consenso, e i cookie wall che bloccano l'accesso sono generalmente illegittimi). Il Garante ha annunciato controlli più frequenti proprio su banner ingannevoli e cookie preinstallati: è uno degli aspetti più facilmente verificabili anche da un ispettore che non è del settore, perché basta aprire il sito.

Con limiti molto stringenti, e alcuni usi sono vietati a prescindere. Il Garante ha vietato l'utilizzo di sistemi che inferiscono lo stato emotivo o lo stress dei lavoratori, in linea con il divieto assoluto già previsto dall'AI Act per i sistemi di riconoscimento delle emozioni sul posto di lavoro. Dal 2025 sono entrate in vigore anche nuove regole specifiche del diritto del lavoro italiano sull'uso dell'IA (Legge 132/2025) e linee guida ministeriali dedicate. Prima di introdurre qualunque strumento di IA che tratti dati dei dipendenti — selezione, produttività, controllo accessi — va fatta una valutazione preventiva su base giuridica, informativa e necessità di DPIA.